Firewall Handbuch für LINUX 2.0 und 2.2 - zurück

überwachen, so verringert sich seine Performance. Dramatische Sicherheitslücken haben
sich dadurch bei Installation von Firewalls unter NT und auch UNIX ergeben. Hier war z.B.
das Fernwartungs - Interface des Microsoft Firewall - PROXY 1.0/2.0 von außen her
erreichbar. Eine winzige Kleinigkeit hat somit die Funktion der Firewall völlig ad absurdum
geführt. Leider passieren solche Fehler sehr häufig. Der Hauptgrund liegt wohl darin, daß
man als Systemadministrator bei bestimmten Betriebssystemen wohl schon froh ist, wenn
alles überhaupt läuft....weitere Untersuchungen mit einer Klärung, warum nun z.B.
Windows NT 4.0 SP4 Pakete in andere Netze streut (ISDN Karte, RAS) werden oft nicht
angestellt.
9.7 Regeln für die Netzwerkkarten
Nachdem dies schwierige Problem geklärt ist, kann man nun den Datenverkehr zu einer
Netzwerkkarte zulassen:
# Erlaube ein- und ausgehenden Verkehr
ipfwadm -I -a accept -W $LOKALES_INTERFACE -S $INTRANET
ipfwadm -O -a accept -W $LOKALES_INTERFACE -D $INTRANET
Dies bedeutet, daß eingehende Pakete "-I" in LOKALES_INTERFACE mit einer beliebigen
Quell IP - Nummer "-S" aus dem Bereich INTRANET akzeptiert werden sollen. Ebenso
sollen ausgehende Pakete "-O" in das Netzwerk INTRANET zugelassen werden.
Mit LOKALES_INTERFACE ist diejenige Netzwerkkarte gemeint, an der sich die zu
schützenden Arbeitsplatz - PCs befinden. Mit INTRANET ist die Netzwerknummer
gemeint, die im Intranet vergeben wird. Netzwerknummern besitzen immer eine 0 (Null)
als letzte Zahl, z.B. 194.245.123.0 Soweit so gut, betrachten wird nun noch einmal
genauer die Dämonen. Wir haben festgestellt, daß sich die meisten Dämonen einfach an
alle Interfaces binden, also auch an LOKALES_INTERFACE. Das bedeutet, daß nun alle
Dämonen über das LOKALES_INTERFACE von außen erreichbar sind.
LOKALES_INTERFACE soll, wie leicht zu erraten ist, diejenige Netzwerkkarte sein, die
mit dem INTRANET verbunden ist.
Was nun hervorragend funktioniert, ist der Verkehr zwischen den Arbeitsplatz - PCs und
der Firewall auf dem LOKALES_INTERFACE Netzwerk- Interface.
Darüber hinaus sollten Pakete von einem Host in dem Intranet auch an einen anderen
Host in dem Intranet weitergeleitet werden können, quasi als Gateway.
Und schon wieder ein neuer Begriff, dem wahrscheinlich schon viele einmal begegnet
sind, der jedoch keinem so genau etwas sagt.
Die Angabe eines Gateways auf einem Arbeitsplatz-PC besagt, daß alle ausgehende
Pakete zuerst einmal an das Gateway gehen. Das Gateway kann dann entscheiden, ob
die Pakete z.B. für das Internet bestimmt sind, oder ob die Zieladresse vielleicht ein
Server im Intranet ist. Ist das Paket für das Internet bestimmt, so leitet es das Paket intern
an die zweite Netzwerkkarte weiter, die es an den Router übergibt, der es an weitere
Router übergibt, bis das Ziel erreicht ist. Damit das Gateway überhaupt entscheiden kann,
muß es zuerst einmal gefragt werden. Ist der Verkehr für einen anderen Host im Intranet
bestimmt, so läuft folgende Prozedur ab:
INTRA1 sendet ein Paket mit INTRA2 als Zieladresse an das Gateway....das Gateway
sendet das Paket....
Ooops, wäre das nicht eine völlig Verschwendung von Bandbreite und CPU - Zeit in der
Firewall ? Wenn der Verkehr von INTRA1 über das Gateway zu INTRA2 laufen würde,
wäre die Aussage korrekt. Dem ist aber nicht so. Das Interface LOKALES_INTERFACE
erkennt, daß Quell - und Zieladressen des Paketes von Intra1 innerhalb der
Netzwerkadresse von LOKALES_INTERFACE, also im INTRANET liegen. Die
Erstellt von Doc Gonzo - http://kickme.to/plugins